Riportiamo di seguito le conclusioni – disponibili su AODV231 – del libro “L’organismo di vigilanza nel sistema 231” (a cura di Enrico Di Fiorino e Ciro Santoriello), scritte dal founding partner Giuseppe Fornari e da Bruno Giuffrè, country managing partner di DLA Piper Italia.
***
In quasi vent’anni di vigenza del Decreto Legislativo n. 231/2001 (di seguito, il “Decreto”), si è detto tanto − e non solo in questa sede ovviamente − riguardo all’Organismo di Vigilanza, alle funzioni, ai compiti, alla composizione, ai poteri e ai doveri. Di rado tuttavia ci si focalizza sull’importanza che tale organismo assume nell’ambito del complesso sistema dei controlli interni delineato dalla disciplina italiana ed europea. Al contrario, tutt’oggi la figura dell’Organismo di Vigilanza (di seguito, anche “OdV”) sembra essere vittima di una certa disattenzione, specie da parte degli operatori economici, forse dovuta ad una serpeggiante marginalizzazione presente a livello normativo.
Come noto, ad oggi si contano plurimi organi e funzioni con ruoli lato sensu di controllo interno: (a) collegio sindacale/consiglio di sorveglianza/comitato per il controllo sulla gestione; (b) amministratori indipendenti[1]; (c) amministratore incaricato del sistema di controllo interno e di gestione dei rischi[2]; (d) comitato controllo e rischi (c.d. audit committee)[3]; (e) Organismo di Vigilanza[4]; (f) responsabile del servizio di prevenzione e protezione (c.d. RSPP)[5]; (g) revisore legale dei conti[6]; (h) responsabile del controllo di gestione; (i) responsabile della prevenzione della corruzione e della trasparenza (c.d. RPCT)[7]; (l) responsabile per la protezione dei dati (data protection officer)[8]; (m) dirigente preposto alla redazione dei documenti contabili societari[9]; (n) funzione compliance; (o) funzione legale; (p) funzione internal audit; (q) funzione antiriciclaggio[10]; (r) funzione di controllo dei rischi (risk management).
Una pletora così nutrita di “controllori”, non di rado introdotti sulla scia della emotività del momento[11], non soltanto disvela la mancanza di una visione d’insieme a livello legislativo, ma d’altronde porta con sé ridondanze, incertezze, sovrapposizioni funzionali se non vere e proprie duplicazioni, nonché il rischio (elevatissimo) che i compiti posti al “confine” tra una funzione e l’altra non siano poi effettivamente svolti, l’una facendo affidamento sul fatto che li eseguirà l’altra. Non a caso si è detto che «il mondo dei controlli è oggi un “reticolo” non un sistema»[12]. L’esistenza di un simile ed «affollato»[13] coacervo di gatekeepers ne rende indispensabile un coordinamento (specie nei settori vigilati, in cui i “presidi di controllo” sono ancor più numerosi), la cui effettiva attuazione è tuttavia rimessa interamente all’autonomia privata[14], mancando tuttora un intervento normativo − di rango primario o secondario − che chiarisca con adeguata precisione i rapporti fra le varie funzioni di controllo[15]; una scelta liberista, forse, connotata da eccessivo ottimismo[16].
Sul punto, al di là delle indicazioni di dettaglio del CNDCEC[17], l’unica “raccomandazione” di taglio realmente operativo, fornita in particolare dal Codice di Autodisciplina di Borsa Italiana giusto nell’ottica «di una razionalizzazione del sistema dei controlli», sarebbe quella di valutare «l’opportunità di attribuire al collegio sindacale le funzioni di organismo di vigilanza ex d.lgs. 231/2001»[18]. Il medesimo suggerimento proviene da Banca d’Italia: la già citata Circolare n. 285 precisa che “l’organo con funzione di controllo” − ossia «il collegio sindacale, il consiglio di sorveglianza o il comitato per il controllo sulla gestione»[19] − «svolge, di norma, le funzioni dell’organismo di vigilanza», prevedendo persino il dovere per gli istituti intenzionati ad «affidare tali funzioni a un organismo appositamente istituito» di fornire «adeguata motivazione»[20].
Ebbene, si tratta di una “raccomandazione”, ancorché in linea con le possibilità contemplate dal Decreto (cfr. art. 6 comma, 4-bis), quanto mai discutibile, specie ove si tratti di enti quotati in mercati regolamentati italiani e magari operanti in un settore delicato qual è quello bancario. Anzi, desta particolari perplessità la circostanza per cui questa commistione fra collegio sindacale (od organi equipollenti negli altri sistemi di amministrazione e controllo) ed Organismo di Vigilanza sia considerata dalla citata Circolare n. 285 come la “norma”, mentre la costituzione di un organismo ad hoc dovrebbe essere specificamente motivata dall’istituto bancario. La normalità, ad avviso di chi scrive, dovrebbe essere l’esatto contrario.
Peraltro, un simile orientamento è osteggiato dalla quasi totalità degli interpreti e dalle best practice in materia di responsabilità amministrativa degli enti[21], poiché non tiene conto, quantomeno: (i) della possibilità per i sindaci di rendersi autori di alcune fattispecie di reato presupposto (si pensi ai reati societari ex art. 25-ter del Decreto); (ii) della circostanza per cui l’organo di controllo nel sistema monistico sia costituito pur sempre da amministratori che − per quanto non delegati, non esecutivi e dotati di specifici requisiti di indipendenza − prendono comunque parte all’alta direzione esercitata dal Consiglio, rendendosi ancora più evidente (rispetto a quanto segnalato al punto precedente) la confusione fra controllori e controllati, senza contare che alla revoca provvede direttamente il Consiglio anche in assenza di giusta causa; (iii) della possibilità per il consiglio di sorveglianza di essere fortemente coinvolto nella gestione dell’ente (si consideri, ad esempio, la possibilità per lo statuto di attribuire allo stesso la «delibera in ordine alle operazioni strategiche e ai piani, industriali e finanziari della società predisposti dal consiglio di gestione»)[22]; (iv) della possibilità per i sindaci di concorrere − ai sensi dell’art. 110 c.p. − nella realizzazione di un reato presupposto da parte degli amministratori, e non solo con una condotta commissiva ma anche mediante omissione: in virtù della posizione di garanzia discendente dagli artt. 2403 e 2407 c.c., sui sindaci grava l’obbligo giuridico − ai sensi dell’art. 40 cpv. c.p. − di impedire la commissione di reati da parte dell’organo gestorio, sicché l’inerzia consapevole e volontaria apre la strada alla possibilità di concorso per omesso impedimento. Posizione di garanzia che, invece, non può rinvenirsi in capo ai membri dell’Organismo di Vigilanza; (v) dell’assenza, in capo ai sindaci, di adeguate competenze multidisciplinari per poter assicurare il corretto assolvimento dei compiti attribuiti all’Organismo dal Decreto.
Al contrario: anziché svilita, la figura dell’Organismo di Vigilanza andrebbe invece valorizzata ed enfatizzata. Indicando agli operatori economici che le relative funzioni possano essere tranquillamente esercitate da un altro organo dell’ente, inevitabilmente si trasmette un duplice messaggio fallace: (1) anzitutto, che per svolgere adeguatamente i compiti attribuiti all’Organismo dal Decreto non servano peculiari requisiti o competenze; (2) che le attività richieste all’Organismo siano ampiamente compatibili con quelle esercitate da altri organi dell’ente. In realtà, l’Organismo di Vigilanza costituisce una peculiarissima «struttura di controllo»[23], ontologicamente diversa rispetto alle altre in termini di competenze, formazione, ruoli, sensibilità; anzi, a ben vedere all’interno della babele dei controlli l’Organismo emerge e si distingue − specialmente se in composizione collegiale − per almeno quattro ordini di ragioni:
1. anzitutto, è in possesso di competenze interdisciplinari, che consentono un’attività di vigilanza ad ampio spettro e non soltanto “settoriale”, essendo quindi l’Organismo in grado di valutare la correttezza dell’attività dell’ente nei suoi vari aspetti e sempre nell’ottica di prevenzione dei reati “presupposto”;
2. inoltre, pur facendo parte − a tempo pieno[24] − dell’ente vigilato[25], l’Organismo nel suo complesso è caratterizzato da peculiare indipendenza ed autonomia, non costituendo a rigore un organo dell’ente stesso e ponendosi in posizione di staff rispetto al vertice, con adeguate garanzie avverso ingerenze operative, condizionamenti ed iniziative “repressive” (quali, per tutte, la revoca senza giusta causa); d’altro canto, l’Organismo ha ampia e profonda conoscenza dell’ente vigilato, derivante proprio dalla citata continuità d’azione e dall’avere come componente − quantomeno in una composizione collegiale ideale − un soggetto interno;
3. ancora, nell’ambito del sistema delle segnalazioni di qualsiasi devianza (in cui si inserisce l’attuale fenomeno del whistleblowing), l’Organismo rappresenta l’unica struttura dell’ente cui sia possibile rivolgersi con la ragionevole certezza di non dover temere potenziali atteggiamenti ritorsivi, essendo l’OdV tenuto a garantire la più stretta riservatezza in merito[26];
4. infine, l’OdV si pone come veicolo di trasmissione all’interno dell’ente − e a tutti i livelli del medesimo[27] − di una piena cultura della legalità; nel sistema delineato dal Decreto, l’OdV ha il compito di impartire un’apposita formazione sui rischi-reato a tutto il personale dell’ente, emancipandosi così dalla rigida figura del controllore per assumere una ben più profonda funzione pedagogica. Una strategia “politica”, quella adottata del legislatore del 2001[28], che, puntando sulla prevenzione mediante la formazione al di là del mero controllo, mira ad impedire che il contesto aziendale diventi terreno fertile per il proliferare di condotte devianti[29]. In conclusione, se «il sistema dei controlli interni riveste un ruolo centrale nell’organizzazione aziendale» poiché − tra l’altro − «favorisce la diffusione di una corretta cultura dei rischi, della legalità e dei valori aziendali»[30], allora non vi è dubbio che proprio l’Organismo di Vigilanza − attraverso i suoi specifici compiti di formazione − possa rivelarsi il soggetto più adatto a tale scopo.
In definitiva, l’Organismo di Vigilanza è l’architrave su cui regge l’intero impianto “general-preventivo” delineato dal Decreto; un Modello organizzativo, ancorché perfetto nella individuazione del rischio-reato, nella previsione di specifici protocolli e procedure e nella gestione delle risorse finanziarie, risulterà sempre ed inevitabilmente inidoneo se non assistito da un degno Organismo di Vigilanza. Non è un caso, infatti, se in alcuni dei principali processi in materia di responsabilità degli enti non sia stato possibile escludere la colpevolezza delle società “imputate” proprio per via di una insufficiente attenzione prestata all’Organismo di Vigilanza[31].
